遠端 Debian 9 主機上安裝的多個套件受到 dla-2786 公告中提及的多個弱點影響。

  - 在 nghttp2 1.10.0 和更高版本以及 nghttp2 v1.31.0 和更低版本中，ALTSVC 框架處理中存在不當輸入驗證 CWE-20 弱點，可導致分割錯誤，進而造成拒絕服務。
    此攻擊似乎可以透過網路用戶端惡意利用。此弱點似乎已在 >= 1.31.1 中修正。(CVE-2018-1000168)

  -在 nghttp2 1.41.0之前的版本中，過大的 HTTP / 2 SETTINGS 框架承載會造成拒絕服務。
    概念證明攻擊涉及惡意用戶端一遍又一遍地建構長度為 14,400 位元組 (2400 個個別設定項目) 的 SETTINGS 框架。攻擊會造成 CPU 尖峰達到 100％。nghttp2 v1.41.0 已修正此弱點。目前有針對此弱點的因應措施。實作 nghttp2_on_frame_recv_callback 回呼，如果收到的框架是 SETTINGS 框架，且設定項目數量巨大（例如> 32），則中斷連線。(CVE-2020-11080)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-2786-1：nghttp2 - LTS 安全性更新

high Nessus Plugin ID 154195

版本 1.3